一些WordPress插件具有据说在一个网络攻击这为黑客提供了使用这些插件的任何网站的全面访问权限和其他恶意功能。
根据安全公司WordFence的研究人员的说法，恶意代码被注入了五个WordPress插件，从而可以创建新的管理用户帐户，并将这些详细信息发送回攻击者的受控服务器。
据报道，该损坏的插件是Blaze零售小部件，社交战，联系表7多步插件，包装器链接Elementor，并且简单地显示挂钩。
WordPress是一个Web内容管理系统。尽管它最初是作为博客的平台开发的，但此后它已经发展为能够发布其他数字内容。该报告声称，未知来源的供应链攻击的供应链攻击具有后门的WordPress插件，最多可达36,000个网站。
在过去的一周中，未知的威胁参与者一直在为开源WordPress内容管理系统的官方网站WordPress.org上的插件更新添加有害功能。
安装后，更新会自动创建一个攻击者控制的管理帐户，该帐户允许对折衷的站点进行完全控制。他们还添加了可以操纵搜索结果的内容。
攻击起源未知
研究人员目前正在研究恶意软件的起源以及如何通过WordPress插件频道访问它。
根据Wordfence研究人员的说法，WordPress插件审查团队成员周六发表的帖子提供了有关攻击的第一线索。在检查了恶意文件后，研究人员发现又有四个插件内部具有相同的恶意软件。
今年对WordPress发动攻击
WordPress网站已经成为今年多次攻击的目标。去年1月12日，超过6,700个WordPress网站是已感染通过臭名昭著的Balada喷油器恶意软件的精致网络活动。
Web研究人员最初发现的这种协调攻击开始了12月中旬，并专注于WordPress主题和附加功能。据透露，自2017年以来，Balada喷油器一直在进行大规模的操作，损害了17,000多个WordPress网站。
当时，袭击者小心地将后门插入了黑客入侵的网站，将用户发送到虚假的帮助页，彩票骗局和推送通知欺诈。
最新的运动浮出水面，即2023年12月13日，即CVE-2023-6000发现后不久，这是跨站点脚本（XSS）脆弱性影响弹出式构建器版本4.2.3及以下的脆弱性。
在200,000个网站上用于创建个性化弹出窗口的弹出构建器成为滥用的主要目标。领先的网站安全提供商Sucuri发现，Balada喷油器已迅速整合了对公开漏洞的攻击。
网络安全专家声称，攻击者巧妙地修改了弹出窗口构建器的“ SGPBWillopen”事件，以引起恶意JavaScript代码在激活弹出弹出时在网站数据库中运行。
除了利用弹出式构建器外，威胁参与者还使用了二级感染技术。他们更改了wp-blog-header.php代码，以将JavaScript制成的相同后门引入受影响的网站。
